5. September 2019
Datenpannen in Arztpraxen
„Diskretion! Bitte Abstand halten.“ Solche Schilder sieht man in Arztpraxen häufig. […]
Sobald die Änderungen des Bundesdatenschutzgesetzes in Kraft treten, wird ein Datenschutzbeauftragter erst ab 20 Mitarbeitern benötigt. Aktuell sind in § 38 Abs. 1 BDSG nur 10 Mitarbeiter als Untergrenze gesetzt. Doch auch Unternehmen mit mehr als 20 Mitarbeitern können dieser neuen Regelung unterfallen! Wir erklären, wie das möglich ist.
Wann ist ein Datenschutzbeauftragter erforderlich?
Die DSGVO bestimmt in Art. 37 Abs. 1 DSGVO, dass auf jeden Fall ein Datenschutzbeauftragter erforderlich ist, wenn:
„a) die Verarbeitung von einer Behörde oder öffentlichen Stelle durchgeführt wird, mit Ausnahme von Gerichten, die im Rahmen ihrer justiziellen Tätigkeit handeln,
b) die Kerntätigkeit des Verantwortlichen oder des Auftragsverarbeiters in der Durchführung von Verarbeitungsvorgängen besteht, welche aufgrund ihrer Art, ihres Umfangs und/oder ihrer Zwecke eine umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen erforderlich machen, oder
c) die Kerntätigkeit des Verantwortlichen oder des Auftragsverarbeiters in der umfangreichen Verarbeitung besonderer Kategorien von Daten gemäß Artikel 9 oder von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 besteht.“
Zusammenfassung:
Zusammengefasst ist ein Datenschutzbeauftragter also immer bei öffentlichen Stellen erforderlich und bei sensiblen Daten. Außerdem bestimmt Absatz 4, dass freiwillig ein Datenschutzbeauftragter benannt werden kann. Darüber hinaus bestimmt der Absatz aber auch, dass die Benennung verpflichtend ist, sofern dies in nationalen Gesetzen so festgehalten ist – und genau dies ist in Deutschland der Fall.
Was bestimmt das BDSG?
Das BDSG verlangt in § 38 Ab. 1 bisher, dass ein Datenschutzbeauftragter zu benennen ist, sofern Verantwortliche „in der Regel mindestens zehn Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen.“ Diese Passage wird nun durch das Änderungsgesetz insofern geändert, dass 20 statt 10 Mitarbeiter gefordert werden.
Problem: Was heißt „ständig beschäftigt“?
In dem Paragrafen des BDSG steht nicht nur „in der Regel“, sondern auch noch „ständig beschäftigt“ – zwei Phrasen, die durchaus auslegungsbedürftig sind. Fest steht: Nur weil ein Unternehmen 20 Mitarbeiter hat, bedarf es noch nicht zwingend eines Datenschutzbeauftragten. „In der Regel“ meint, dass es meistens ab einer Größe von 20 Mitarbeitern erforderlich ist, aber auch Ausnahmen geben kann. Es müssen außerdem mindestens 20 Personen mit der Verarbeitung personenbezogener Daten beschäftigt sein – und zwar ständig. Was das heißt, ist nicht ganz klar. Sich „ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen“ meint nach Ansicht des Bayerischen Landesamts für Datenschutzaufsicht dass die Datenverarbeitung „einen Schwerpunkt der Tätigkeit einer Person“ darstellt. Als Beispiel nennt das Landesamt Mitarbeiter der Personal- und Finanzbuchhaltung, also Personen, die mit der Verwaltung zu tun haben.
Beispiele für Mitarbeiter
Nicht zu den 20 Mitarbeitern sollen aber Kassenkräfte, Versandmitarbeiter und Handwerker zählen, da diese schwerpunktmäßig andere Tätigkeiten als Datenverarbeitung haben. Wenn ein Unternehmen also eine Sekretärin, einen Buchhalter und 18 Monteure hat, unterfällt es nicht der Pflicht, einen Datenschutzbeauftragten zu bestellen.
Was ist, wenn kein Datenschutzbeauftragter benannt wurde?
Wer keinen Datenschutzbeauftragten bestellt, obwohl er dies nach dem BDSG oder der DSGVO müsste, muss einerseits mit einer wettbewerbsrechtlichen Abmahnung rechnen. Wir haben bereits mehrfach darüber berichtet, da nicht klar ist, ob datenschutzrechtliche Verstöße abmahnbar sind oder nicht.
Außerdem droht ein hohes Bußgeld. Art. 83 DSGVO ermöglicht Bußgelder bis zu 10 Millionen Euro bzw. 2 % des weltweiten Jahresumsatzes, sofern dieser höher ist.
Fazit
Personen, die Daten verarbeiten, sollten genau prüfen, ob ein Datenschutzbeauftragter erforderlich ist oder nicht. Wenn Sie sich dabei unsicher sind, können Sie sich gerne an unsere Kanzlei wenden. Wir helfen Ihnen umgehend!
